ファイル改ざん防止機能は、ファイルシステムのアクティビティをリアルタイムで監視し、許可されていないプロセスによる書き込みや削除などの不正な操作をインターセプトし、監査のためにすべてのイベントを記録します。これにより、サーバー上の重要なファイルの整合性が確保されます。
前提条件
開始する前に、以下を確認してください：
オペレーティングシステムとカーネル：サーバーの OS とカーネルのバージョンが、Security Center エージェント (AliWebGuard) のサポート範囲内であること。詳細については、「AliWebGuard がサポートするオペレーティングシステムとカーネルバージョン」をご参照ください。
Security Center エージェント：保護対象のすべてのサーバーに Security Center エージェントがインストールされていること。手順については、「Security Center エージェントのインストール」をご参照ください。
仕組み
ファイル改ざん防止機能は、ファイルシステムのイベント (読み取り、書き込み、削除、名前変更、権限変更) をリアルタイムで監視します。エージェントはこれらのイベントを分析し、設定したルールに基づいてアクションを実行します。
ルールの優先度：ファイル操作が複数のルールに一致した場合、システムは **許可 > ブロック > アラート** の固定順でルールを適用します。優先度の高いルールが一致すると、それより低い優先度のルールはスキップされます。
カーネルの互換性：
ルールの有効化：監視対象サーバーでのファイル操作が、ルールに設定されたすべての条件に一致した場合に、そのルールが有効になります。
操作手順
ステップ 1：サービスの有効化とサーバークォータのバインド
ニーズに合った課金モードを選択し、対応する有効化手順に従ってください。
サブスクリプション
サービスの有効化
Security Center コンソールの [保護設定] - [ホスト保護] - [ファイル改ざん防止] に移動します。ページの左上で、保護対象アセットが所在するリージョン：中国本土 または 中国本土以外 を選択します。
今すぐ購入 をクリックします。Security Center の購入ページにリダイレクトされます。ファイル保護 セクションで、はい を はい に設定します。
クォータの設定: ブロック または アラート ルールを使用するには、Quantity を指定します。購入後、クォータをサーバーに関連付けます。
説明未使用のクォータは毎月末に失効し、繰り越されません。保護対象サーバーに必要なクォータを購入してください。
今すぐ購入 をクリックし、支払いを完了します。
従量課金
サービスの有効化
Security Center コンソールの [保護設定] - [ホスト保護] - [ファイル改ざん防止] に移動します。ページの左上で、保護対象アセットが所在するリージョン：中国本土 または 中国本土以外 を選択します。
従量課金の有効化 をクリックします。 従量課金ユーザー契約を確認し、今すぐ有効にする をクリックします。
ステップ 2：保護ルールの設定
保護ルールは、ファイル改ざん防止の範囲とアクションを定義します。アラート、ブロック、または許可ルールを作成し、それらを組み合わせて包括的なカバレッジを実現します。
操作手順
ファイル保護 ページで、ホワイトリストルール作成 をクリックします。
[ルールの作成] パネルで、パラメーターを設定し、OK をクリックします。
ルール名：ルールの識別子です。
処理の方法: ルールに一致した場合に実行するアクションです。
アラート: 操作をブロックすることなく、イベントを記録してアラートを生成します。アクションタイプがアラートまたはブロックの場合に利用可能です。
ブロック: 許可されていないプロセスからの不正なファイル変更を積極的にブロックします。
許可: イベントの記録やアラートの生成を行わずに、操作を許可します。モニタリングから正当なプロセスを除外するために使用します。
アラートレベル：アラートの重要度レベルです。アクションタイプが アラート または ブロック の場合にのみ使用できます。
緊急：即時の対応が必要な高リスクイベント。
不審: 調査を要する潜在的な セキュリティリスクです。
情報: 管理者が参照するための低リスクのイベントです。
OSタイプ: 監視対象の OS タイプ。オプション: Linux、Windows。
ステータス: ルールを直ちに有効にするかどうかを指定します。有効にしたルールは、通常 3 分以内に適用されます。同時に最大 100 個のルールを有効にできます。
防御パス：監視対象のファイルまたはディレクトリのパス
単一ファイル：完全なパスを入力します。例：
/etc/passwd。ディレクトリ内のすべてのファイル：ワイルドカード
*を使用します。例：/var/www/html/*は、サブディレクトリを含むそのディレクトリ内のすべてのファイルを保護します。各パスを別々の行に入力します。ルールごとに最大 100 パス。
各パスは 1～128 文字である必要があります。
ファイルタイプ：保護対象のファイルタイプ (任意)。一般的な Web ファイルタイプから選択するか、カスタムタイプを入力します。
ファイルタイプが指定されていない場合、保護パス内のすべてのタイプが監視されます。
ルールごとに最大 64 のファイルタイプ、各タイプは最大 15 文字。
ファイルタイプは最後の拡張子セグメントにのみ一致します。たとえば、
backup.tar.gzに一致させるには、gzを指定します。tar.gzを指定しても一致しません。.tar.gzサフィックスに一致させるには、保護パスとして/protected/path/*.tar.gzを追加します。
ファイル操作：監視対象の操作。
読み取り：ファイルの読み取り操作を監視します。
書き込み: ファイル内容の変更を監視します。
削除：ファイルの削除を監視します。
名前変更：ファイルの名前変更操作を監視します。
権限変更：ファイルの権限変更を監視します。Windows ではサポートされていません。
プロセスパス: 監視するプロセスのパスです。
単一プロセス：完全なパスを入力します。例：
/usr/bin/bash。すべてのプロセス：
*を使用します。ディレクトリ内のすべてのプロセス：ワイルドカードを使用します。例：
/etc/*。各パスを別々の行に入力します。ルールごとに最大 100 パス、各パスは 1～128 文字。
ユーザーの除外: モニタリングから除外する OS ユーザー (任意)。Windows ではサポートされていません。
除外されたユーザーによる操作は、ルールに一致してもアラートやブロックをトリガーしません。
各ユーザーを別々の行に入力します。ルールごとに最大 5 ユーザー。
ルール適用範囲：ルールが適用されるサーバー。
すべてのアセット: エディション要件を満たすすべてのサーバーに適用されます。
アセット別：リストから特定のサーバーを選択します。
設定例
さまざまな保護シナリオをカバーするためにルールを組み合わせます。
Web サイトファイルの保護
Web ディレクトリファイルを不正な変更から保護します。Web サーバー、コンテンツ管理システム (CMS)、および同様のサービスに適用されます。
例：/var/www/html/ 内のすべての Web ページファイルをブロックモードで保護します。
ルール 1 (ブロックルール)：アクションタイプ = ブロック、保護パス =
/var/www/html/*、ファイルタイプ =html、php、jspなど、ファイル操作 = 書き込みと削除、プロセスパス =*(すべてのプロセス)。ルール 2 (許可ルール)：アクションタイプ = 許可、保護パス =
/var/www/html/*、プロセスパス = デプロイメントプロセスのパス (例：/usr/bin/rsync)、ファイル操作 = 書き込みと削除。
コア設定ファイルの監視
コアシステム設定ファイルへのアクセスを監視して、不正な改ざんやデータ盗難を防ぎます。
例：/etc/passwd へのすべてのアクセスを監視します。
ルール 1 (アラートルール)：アクションタイプ = アラート、アラートの重要度 = 重大、保護パス =
/etc/passwd、ファイル操作 = すべての操作、プロセスパス =*。ルール 2 (許可ルール)：アクションタイプ = 許可、保護パス =
/etc/passwd、プロセスパス =/usr/lib/systemd/systemd(正当なプロセス)、ファイル操作 = すべての操作。
アラートルールの場合、プロセスパスを * (すべてのプロセス) に設定してください。そうしないと、設定された範囲外のプロセスからのアクセスを検出できません。
許可ルールではワイルドカードのプロセスパスを使用しないでください。攻撃者が広範な許可ルールを悪用してアラートルールをバイパスする可能性があります。
ステップ 3：アラートの表示と処理
Security Center のアラート機能を通じて、ファイル改ざん防止アラートを表示および管理します。
左側のナビゲーションウィンドウで、を選択します。 コンソールの左上隅で、保護対象のアセットが配置されているリージョンとして中国本土または中国本土以外を選択します。
説明Agentic SOC サービスが有効化された場合、ナビゲーション項目は クラウドワークロード保護プラットフォーム (CWPP) に変更されます。
クラウドワークロード保護プラットフォーム (CWPP) タブで、ファイル保護アラート の下にある数値をクリックしてアラートリストを開きます。
アラートリストの [操作] 列で詳細をクリックして、アラートの詳細を表示します。 Security Center は、次のような状況では正確なコマンドライン情報を取得できない場合があります：
Python スクリプトがファイルにアクセスする場合、コマンドラインは取得できません。
シェルの組み込みコマンドがファイルにアクセスする場合、取得されたコマンドが元の入力と異なる場合があります。たとえば、コマンド
echo "new content" >> /etc/nginx/nginx.confの場合、取得された動作は["-bash"]のように表示されることがあります。取得されたコマンドラインは、シェル解析後に JSON 配列として表示され、元のユーザー入力と異なる場合があります。
アラートの詳細に基づいてアクションを実行します。
確認済みのアノマリー：
ファイルの処理：ビジネスに支障がない場合は、手動で関連する プロセス を終了し、影響を受けるファイルを隔離します。ブロックルール がすでに設定されている場合、システムが自動的に処理し、イベントステータス に ブロック済み と表示されます。
ルールの作成 (オプション)：ブロック ルールを追加して、不正なファイル変更を積極的に防止します。
アラートを無視する: アラートリストに戻ります。操作する 列の 処置 をクリックして 処置 を選択します。
通常の操作の場合：
ルールの作成 (オプション): 許可 ルールを追加して、正規のプロセスを除外し、繰り返しのアラートを防止します。
アラートの無視: 操作する 列で 処置 をクリックし、無視 を選択します。
ルールとクォータの管理
保護ルールの表示と管理
ファイル保護 ページで、以下の概要情報を確認できます。
保護ディレクトリ数：すべてのルールで設定された保護パスの総数
保護サーバー数: アクティブな保護ルールが適用されているサーバーの総数。
使用済みブロック権限付与数/認可総数：現在の使用量と購入済みクォータ。詳細については、権限付与 をクリックしてください。
編集: 「操作」列の編集をクリックしてルールを変更します。変更は 1 分以内に有効になり、既存のアラートや記録されたイベントには影響しません。
削除: ルールを削除するには、操作する 列の 削除 をクリックします。削除されたルールはすぐに無効になります。削除する前に影響を評価してください。
有効化/無効化：ステータス 列のトグルを使用して、ルールを有効化または無効化します。
バッチ操作：複数のルールを選択して、一括での有効化、閉じる、削除が可能です。ページをまたいだ全選択に対応しています。
インターセプトクォータのスペックアップ
サブスクリプションモードで、クォータがゼロまたは不足している場合は、クォータを増やしてください：
ファイル保護 ページで、右上隅の アセット別 をクリックします。
ファイル保護 セクションで、保護するサーバーの数に応じて数量を増やします。
今すぐ購入 をクリックし、支払いを完了します。
クォータのキャンセル
使用済みブロック権限付与数/認可総数 セクションで、権限付与 をクリックします。
ファイル保護 権限付与 ダイアログボックスの アセットの選択 エリアで、削除するサーバーのチェックボックスの選択を解除し、OK をクリックします。
サブスクリプションの解約
サブスクリプションモード: 概要 ページの サービスのサブスクリプション セクションで、 をクリックします。スペックダウンページの ファイル保護 セクションで、はい を いいえ に設定します。詳細については、「スペックダウン」をご参照ください。
説明実際の返金額はスペックダウンページに表示されます。返金処理に関する情報については、「返金手順」をご参照ください。
従量課金モード：
概要 ページの 従量課金サービスの有効化 セクションで、ファイル保護 スイッチをオフにします。
ファイル保護 ページで、使用済みブロック権限付与数/認可総数 セクションの 使用を停止する をクリックします。
クォータと制限
クォータ制限：1 つのクォータで 1 台のサーバーを保護します。
ルール設定の制限：
同時に有効にできるルールは最大 100 個です。
ルールごとに最大 100 の保護パスと 100 のプロセスパス。
各保護パスは 1～128 文字である必要があります。
保護されたファイルまたはディレクトリの完全なパスは、1,000 文字または 500 中国語文字を超えることはできません。
保護パスが NFS サーバーのプロセスパスを指している場合、NFS クライアント経由のファイル変更は防御できません。
その他の制限：
除外ユーザー：ルールごとに最大 5 人。
ファイルタイプ：ルールごとに最大 64 種類、各種類は最大 15 文字。
システムの制限：
Windows は、ファイルの 権限変更 操作のモニタリングをサポートしていません。
Windows は ユーザーの除外 ルールに対応していません。
課金とクォータ消費
課金モードとクォータ消費は、使用するルールのタイプによって異なります。
課金モード：
サブスクリプション：一定期間、インターセプトクォータを事前購入します。未使用のクォータは毎月末に失効し、繰り越されません。
従量課金：実際の保護期間 (秒単位) に保護対象サーバーの数を乗じて課金されます。以下が自動的にカウントされます：
ブロックルールが設定されたサーバー。
保護エディションが エンタープライズ版 未満、または保護レベルが ホスト総合保護 未満のアラートルールが設定されているサーバー。
クォータ消費：
ブロックルール：クォータを消費します。
アラートルール: サーバー保護エディションが エンタープライズ版 未満、または保護レベルが ホスト総合保護 未満の場合、クォータを消費します。
許可ルール：クォータ消費なし。無料で利用できます。
詳細については、「課金の説明」をご参照ください。
よくある質問
新しいファイル改ざん防止と、レガシーの Web 改ざん防止およびコアファイル監視の関係は何ですか？
新しいファイル改ざん防止機能は、レガシーの Web 改ざん防止とコアファイル監視モジュールを統合したものです。ファイルインターセプト保護とファイルアクセス監視をサポートする統一されたルール管理インターフェイスを提供し、設定と管理を簡素化します。
説明ファイル保護 ページで、右上隅にある Old Version をクリックしてレガシコンソールに切り替えます。 レガシ機能は将来のリリースで段階的に廃止されます。 詳細については、「[アップグレード] Security Center の [Web 改ざん防止] と [コアファイル監視] の統合およびアップグレード」をご参照ください。
比較項目
レガシー - Web 改ざん防止
レガシー - コアファイル監視
新規 - ファイル改ざん防止
アクションタイプ
ディレクトリとファイルタイプで保護範囲を設定するホワイトリスト/ブラックリストモード。
ルールベースのアラート/許可モード。
アラート、ブロック、許可の 3 つのアクションタイプを持つ統一されたルール管理。
機能
異常なファイル変更を識別し、原因となったプロセスをブロックまたはアラートします。
異常なファイルアクセス (読み取り、書き込み、削除) を監視し、アラートを生成します。
ファイルの読み取り、書き込み、削除、名前変更、権限変更操作を監視、ブロック、またはアラートします。
除外ユーザー (ユーザーホワイトリスト) をサポートし、ホワイトリストに登録されたユーザーによるファイル操作がアラートやブロックをトリガーしないようにします。
クォータ消費
改ざん防止クォータの購入が必要です。
Enterprise Edition または Ultimate Edition ユーザーは無料。クォータ消費なし。
ブロックルール：クォータを消費します。
アラートルール: サーバー保護エディションが エンタープライズ版 未満、または保護レベルが ホスト総合保護 未満の場合にクォータを消費します。
許可ルール：クォータ消費なし。無料で利用できます。
アラートルールとブロックルールの両方が設定されている場合、どちらが優先されますか？
ファイル操作が複数のルールに一致した場合、Security Center は次の順序で評価します：許可 > ブロック > アラート。まず許可ルールが評価されます。一致しない場合、ブロックルールが評価されます。ブロックルールが一致しない場合、アラートルールが評価されます。
アラートルールとブロックルールの違いは何ですか？
比較項目
アラートルール
ブロックルール
機能
ファイル操作をブロックせずにイベントを記録し、アラート通知を生成します。
許可されていないプロセスからの不正なファイル操作を積極的にブロックします。
クォータ消費
サーバーの保護エディションが Enterprise Edition 未満、または保護レベルがホスト全体の保護未満の場合にクォータを消費します。
改ざん防止クォータを消費します。
ユースケース
監視シナリオ。
積極的な防御シナリオ。
ルール作成後、有効になるまでにどのくらい時間がかかりますか？
サーバーでルールが初めて有効化された場合、有効になるまでに最大 3 分かかります。
変更されたルールは 1 分以内に有効になります。変更は既存のアラートや記録されたイベントには影響しません。